Check Point CAPTCHA Çözümü ile Botlara Karşı Koruma

Günümüzde internet siteleri, kullanıcılarını botlardan korumak için çeşitli güvenlik çözümleri kullanır. Bu çözümlerden biri olan CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart), Bilgisayarları insanlardan ayırmayı amaçlayan bir güvenlik önlemidir. CAPTCHA’lar, kullanıcıların gerçekleştirmesi gereken görevler sunarak insan kullanıcıları doğrular ve otomatik işlemleri engeller. Peki, CAPTCHA tam olarak nasıl çalışır, ne türleri vardır, avantajları ve dezavantajları nelerdir, ve Check Point firewall ile nasıl konfigürasyon yapılır?

CAPTCHA, web sitelerinde insan ve bot ayrımını yapmak için kullanılır. CAPTCHA sistemleri, genellikle insanların kolayca çözebileceği ancak botların çözemeyeceği görevler sunar. Bu görevler arasında bulanıklaştırılmış metin karakterlerini girmek, resimlerdeki trafik ışığı veya yaya geçidi gibi nesneleri tanımlamak gibi çeşitli işlemler bulunur. Bazı CAPTCHA türleri ise yalnızca “I’m not a robot” kutusuna tıklamayı gerektirir ve arka planda kullanıcı davranışlarını analiz ederek insan ya da bot ayrımı yapar. Bu sayede, otomatik olarak gerçekleştirilen site ziyaretleri engellenirken, gerçek kullanıcıların erişimi kısıtlanmaz.

CAPTCHA’lar birçok farklı amaç için kullanılır:

• Hesap Oluşturma Koruması: Otomatik botlar sahte hesaplar oluşturabilir. CAPTCHA’lar bu süreci zorlaştırarak gerçek kullanıcılar dışında hesap açılmasını engeller.
• Çevrimiçi Anketler: Birçok kuruluş, kullanıcı geri bildirimini almak için çevrimiçi anketler yapar. CAPTCHA, anketlerin botlar tarafından manipüle edilmesini önleyerek doğru sonuçlar elde edilmesini sağlar.
• Spam Yorumları Engelleme: Web sayfalarında sahte yorumların yapılmasını engellemek için CAPTCHA kullanılabilir.
• Bilet Scalping Koruması: Büyük etkinliklerde, biletlerin otomatik botlar tarafından satın alınarak karaborsaya düşmesini engellemek için CAPTCHA kullanılır.

CAPTCHA’ların çeşitli türleri bulunur ve her biri farklı bir yönteme dayanır:

• Blurred Text (Bulanıklaştırılmış Metin): Kullanıcıların bulanık bir metni çözmesini ister.
• Image Recognition (Görüntü Tanıma): Kullanıcıların belirli nesneleri tanıması gereken resim testleri sunar.
• Audio CAPTCHA(Ses Captcha: Görme engelli kullanıcılar için sesli olarak karakterleri iletir.
• Math and Word Problems(Matematik ve Kelime Problemleri): Basit matematik veya kelime soruları içerir.
• Social Media Sign-In(Sosyal Medya Girişi): Kullanıcı doğrulama için sosyal medya hesaplarına giriş yapılmasını gerektirir.
• ReCAPTCHA: Google tarafından geliştirilen “I am not a robot” kutusunu içerir ve kullanıcıların basit bir tıklama ile doğrulamasını sağlar.

CAPTCHA, bot saldırılarına karşı etkili bir çözüm sunar, ancak bazı sınırlamaları da beraberinde getirir. 

• Kullanıcı Deneyimi: CAPTCHA’lar bazen kullanıcıların web sitesine ulaşmadan önce bir görev tamamlamasını gerektirir. Bu görevler zorlayıcı veya yorucu olabilir, bu da kullanıcı deneyimini olumsuz etkileyebilir.
• Bazı Kullanıcılar İçin Zorlayıcı Olabilir: Görme engelliler veya yaşlı kullanıcılar için bazı CAPTCHA türleri zorluk yaratabilir. Bu nedenle, genellikle sesli CAPTCHA gibi alternatif çözümler de sunulur.
• Teknolojik Destek: Bazı CAPTCHA türleri, tüm tarayıcılar ve ekran okuyucular tarafından desteklenmeyebilir.
• Etkisizlik: CAPTCHA’lar her zaman %100 etkili olmayabilir. Gelişmiş botlar bazı CAPTCHA’ları çözebilir ve sistemi aşabilir.

CAPTCHA, bot tehditlerine karşı etkili bir savunma mekanizması sağlasa da bot tehdidinin sadece bir kısmını ele alır. Botlar, sadece web sitelerinde gezinme değil, aynı zamanda distributed denial-of-service (DDoS) saldırıları gibi daha büyük tehditler oluşturabilir. Bu noktada Check Point Firewall gibi daha gelişmiş koruyucularla birlikte daha etkin güvenlik sağlanacaktır. 

Konfigürasyona başlamadan önce, Firewall üzerinde Mobile Access özelliğinin aktif olması ve gerekli ayarların yapılması gerekmektedir. Mobile access için lab ortamında gerçekleştirilmiş Captcha Entegrasyonu, daha iyi anlaşılabilmesi için aşağıda görseller ile desteklenmiştir..

Mobile Access Blade’i etkinleştirildikten ve gerekli ayarlar tamamlandıktan sonra; aşağıda detaylı açıklanmış adımlar ile konfigürasyona devam edilmelidir. Captcha entegrasyonunun doğru çalışması için Main URL, FQDN olarak girilmiş olmalıdır.

Google reCAPTCHA’ya giriş yapıyoruz ve FQDN olarak domainimizi belirtiyoruz. Google tarafından FQDN olarak girilmesi zorunlu kılınmıştır. Şu anda gerçekleştirilen konfigürasyon, reCAPTCHA v2 ile yapılmaktadır.

İlerlendiğinde, sistem iki adet key sağlamaktadır. Bu key’ler Check Point üzerinde konfigürasyon yaparken kullanılacaktır.

Check Point cihazımızda Mobile Access’i etkinleştirip gerekli ayarları tamamladıktan sonra, Google reCAPTCHA için gereken adımlar gerçekleştirildi. Şimdi, Check Point üzerinde konfigürasyonun nasıl yapılacağını ele alabiliriz. Öncelikle, SSH bağlantısı ile cihaza bağlanılmalıdır. Bağlantı sağlandıktan sonra, expert moduna geçerek $CVPNDIR/conf/ dizinine girilmelidir. Ardından, cvpnd.C dosyasını bir text editor tool’u ile açarak(bu örnek için vim) gerekli değişiklikler yapılmalı ve bu değişiklikler aktif hale getirilmelidir.

vim cvpnd.C komutuyla dosyanın içerisine girildiğinde, varsayılan olarak görseldeki gibi bir yapı karşımıza gelmektedir.

$CVPNDIR/conf/ dizini içerisinde yer alan cvpnd.C dosyasına yapılan örnek konfigürasyon, görseldeki şekildedir. Bu ayarlamalar yapıldıktan sonra, servisler yeniden başlatılmalıdır. (cvpnrestart) Örnek bir konfigürasyon uygulaması olarak aşağıdaki görseller incelenebilir.

Servis tekrar başlatıldıktan sonra Portal URL’ine giriş yapılır. Ardından cvpnd.C dosyasındaki ayarlamalara göre testler yapılabilir.

Dosya içerisinde yapılmış olan captchaFailedAttemptsThreshold (3) tanımına göre denemeler aşağıda paylaşılmıştır. 3 kez yanlış kullanıcı bilgisi girerek, CAPTCHA’nın başarılı bir şekilde display edildiği ve bir sonraki giriş için captcha’nın doldurulması gerektiği görülmektedir.

Troubleshooting

“https://<Portal URL>/Login/verifyCaptchaSettings adresinden, tabloda belirtilen şekilde:

:reCaptchaSiteKey(<Site_key_value_from_google>)
:reCaptchaSecret(<Secret_value_from_google>)

reCAPTCHA yapılandırmalarını ve google erişimini aşağıdaki şekilde kontrol edebilirsiniz. Ancak, öncesinde “:isCaptchaSettingsVerifierEnabled” değerinin “true” ve captcha’nın “enable” durumuna getirilmeleri gerektiği unutulmamalıdır.

Tabloda belirtilen şekilde:

:IsCaptchaEnabledForRelogin(true)
:IsCaptchaEnabledForRelogin(false)

Eğer re-loginde reCAPTCHA yapılandırmasının zorunlu hale getirilmesi isteniyorsa, bu değer ‘enable’ edilmelidir. Yapılandırma aktif hale getirildikten sonra, çıktılar aşağıdaki görseldeki gibi olacaktır.

Bu yazıda, reCAPTCHA ile Check Point firewall arasında nasıl bir entegrasyon yapılacağı adım adım incelenmiştir. Google reCAPTCHA’nın doğru yapılandırılması ve Mobile Access Blade’i ile yapılan ayarlamalar sayesinde, güvenlik seviyesi önemli ölçüde artırılabilir. Konfigürasyonun tamamlanmasının ardından, CAPTCHA’nın düzgün çalıştığını ve sistemin botlardan korunmuş olduğunu görmek, güvenli bir kullanıcı deneyimi sağlamak açısından kritik öneme sahiptir. Bu tür güvenlik önlemleri, çevrimiçi tehditlere karşı dayanıklı bir ağ altyapısı oluşturmak için gereklidir.

Tolga Akman

 - 7 Ekim 2025, Salı